Ataki phishingowe: Jak działają i jak się przed nimi bronić

Phishing działa poprzez podszywanie się pod zaufanych nadawców za pośrednictwem fałszywych e-maili, rozmów telefonicznych, wiadomości tekstowych lub stron internetowych, aby oszukać ofiary do ujawnienia danych uwierzytelniających lub pieniędzy. Centrum Skarg dotyczących Internetowych Przestępstw FBI zalogowało ponad 300 000 skarg na phishing w samym 2022 roku ze stratami przekraczającymi 52 miliony dolarów. Atakujący polegają na pilności, podrabianych domenach i naśladowanym brandingu, a nie na technicznych exploitach, aby odnieść sukces.

Phishing e-mailowy rozsyła fałszywe e-maile marek do szerokiej publiczności poszukując danych uwierzytelniających lub informacji o płatności, podczas gdy spear phishing personalizuje wiadomości, używając znanych szczegółów dotyczących konkretnego celu. Whaling idzie dalej, ukierunkowując kierowników i wysokich rangą pracowników, aby autoryzowali przelewy bankowe lub ujawniali poufne dane korporacyjne. Im bardziej ukierunkowany jest atak, tym bardziej przekonujący i kosztowny jest on zazwyczaj.

Vishing wykorzystuje rozmowy telefoniczne podszywające się pod banki lub pomoc techniczną w celu wydobycia informacji finansowych i dostępu do konta, podczas gdy smishing wysyła fałszywe wiadomości SMS z złośliwymi linkami, często przebrany za powiadomienia o dostawie lub paczce. Oba pomijają e-mail całkowicie, pozwalając im ominąć protokoły uwierzytelniania poczty e-mail, takie jak DMARC, i wykorzystać bezpośredniość, którą ludzie kojarzą z połączeniami telefonicznymi i wiadomościami tekstowymi.

Pharming przekierowuje uzasadnione adresy URL do fałszywych witryn w sposób niewidoczny, bez podejrzanego e-maila lub linku, dzięki czemu ofiary lądują na sfałszowanej stronie logowania nawet po wpisaniu prawidłowego adresu samemu. Celuje w dane uwierzytelniające do logowania na dużą skalę, a nie w jedną ofiarę naraz, i nie ma oczywistej przynęty, takiej jak pilność lub błędnie napisana domena, którą można zauważyć.

Phishing klonujący duplikuje rzeczywisty, wcześniej wysłany e-mail i zamienia złośliwy link, korzystając z faktu, że ofiara już ufa oryginalnemu nadawcy i wiadomości. Ponieważ kopia wygląda niemal identycznie do czegoś legitmnego, które adresat już widział, omija sceptycyzm, który normalnie wywoła zimny, nieoczekiwany e-mail.

Cztery czerwone flagi ujawniają większość e-maili phishingowych. Sprawdź adres nadawcy w poszukiwaniu błędnie napisanych domen, takich jak “amaz0n-security.com”, zwróć uwagę na pilność, taką jak “twoje konto zostanie zablokowane za 24 godziny”, najedź kursorem na linki, aby zobaczyć podgląd rzeczywistego docelowego adresu URL, i przeskanuj błędy gramatyczne lub formatowania, których profesjonalne organizacje zwykle unikają.

Uwierzytelnianie wieloskładnikowe blokuje 99,9% zautomatyzowanych ataków na kompromitację kont, według firmy Microsoft, ponieważ samo skradzione hasło nie wystarczy do zalogowania się bez drugiego czynnika. Nawet jeśli e-mail phishingowy z powodzeniem zbierze twoje dane uwierzytelniające, MFA zatrzymuje atakującego na ekranie logowania, czyniąc go jedną z najskuteczniejszych dostępnych obrony.

SPF, DKIM i DMARC to protokoły uwierzytelniania poczty e-mail skonfigurowane na poziomie domeny, które weryfikują, że przychodzące e-maile faktycznie pochodzą od podanego nadawcy. Tak, pracują razem, a nie jako alternatywy, i sam DMARC zmniejsza podrabianie domeny o do 90%. Bez wszystkich trzech skonfigurowanych atakujący mogą podrażbić twoją domenę, aby atakować twoich pracowników lub klientów.

Szkolenie co kwartał, nie rocznie, to to, co zmienia wynik. Organizacje, które szkolą pracowników co 90 dni, widzą spadek współczynnika klikania phishingu z 30% na poniżej 5% w ciągu 12 miesięcy. Sesje roczne pozostawiają zbyt dużą lukę, aby nawyki zanikły, więc kadencja 90-dniowa to to, co daje mierzalne rezultaty.

Filtrowanie DNS i serwery proxy sieci web blokują dostęp do znanych domen phishingowych w czasie rzeczywistym, wykorzystując usługi takie jak Cisco Umbrella i Cloudflare Gateway, które utrzymują bazy danych milionów złośliwych adresów URL. Połączenie tego z przyciskiem zgłaszania phishingu jednym kliknięciem pozwala pracownikom natychmiast flagować podejrzane e-maile, dostarczając twojemu zespołowi bezpieczeństwa informacji o zagrożeniach w czasie rzeczywistym specyficzne dla twojej organizacji.

Natychmiast izoluj konto: zresetuj skompromitowane hasło i odwołaj wszystkie aktywne sesje, a następnie włącz MFA, jeśli nie było już włączone. Uruchom pełne skanowanie punktu końcowego w poszukiwaniu złośliwego oprogramowania, jeśli kliknąłeś link lub pobrałeś załącznik, i odizoluj urządzenie od sieci, dopóki skanowanie się nie zakończy.

Powiadom swój zespół bezpieczeństwa w ciągu 15 minut od podejrzenia kompromitacji. Ta szybkość daje respondentom czas na zablokowanie infrastruktury atakującego zanim rozprzestrzeni się na inne konta. Szybkie wewnętrzne raportowanie to jeden z niewielu elementów kontroli w reagowaniu na incydenty, gdzie minuty, a nie godziny czy dni, mierzalnie zmieniają wynik.

Solidny plan reagowania phishingu dokumentuje wszystko: nagłówki e-maila phishingowego, adresy URL, sygnatury czasowe i każde podejmowane działanie, co wspiera śledztwo kryminalistyczne i raportowanie regulacyjne. Izoluje również dotkniętą konta, skanuje urządzenia w poszukiwaniu złośliwego oprogramowania i powiadamia osoby, których to dotyczy, zgodnie z prawami dotyczącymi powiadomień o naruszeniu danych w twojej jurysdykcji, jeśli dane klientów zostały ujawnione.